Últimamente he estado revisando actualizaciones de proyectos y he notado que muchos novatos (incluyéndome a mí antes) al escuchar "auditoría" y "código abierto en GitHub" piensan que está garantizado, en realidad hay que analizarlo con más detalle. En GitHub, suelo fijarme en tres cosas: si la última contribución significativa fue hecha por una persona, si los cambios clave en los contratos tienen discusión o PR correspondiente, y si las etiquetas de lanzamiento y despliegue en la cadena coinciden… de lo contrario, el código abierto también puede ser solo "para mostrar".

El informe de auditoría tampoco debe juzgarse solo por el logo en la portada, al revisar la página de conclusiones: qué contratos están cubiertos, si hay notas sobre "actualización de proxy sin auditar / permisos de multisig", y si los problemas pendientes están "resueltos" o "aceptados como riesgo". La actualización de multisig es aún más directa: cuántas llaves, quiénes son, si hay timelock y pausa de emergencia, permisos tan amplios que puedan modificar la lógica directamente, eso lo considero de alto riesgo.

Últimamente, la gente habla de expectativas de reducción de tasas, índice del dólar, y los activos de riesgo suben y bajan en sincronía… cuanto más se tira de esas emociones, más quiero entender claramente quién puede modificar el código. La próxima vez, planeo hacer un pequeño esquema de los permisos comunes de actualización / multisig para facilitar la comparación. ¿Cuál es la primera cosa que revisan ustedes para juzgar la confiabilidad?